リビジョン履歴

  • 1.0: 2022 年 2 月 28 日: 初回バージョン

概要

ベリタスは、下記のように、非公開で報告された脆弱性の一部として Veritas InfoScale Operations Manager (VIOM) にセキュリティ脆弱性を発見しました。

問題 説明 重大度 修正されたバージョン

1

Web ページ生成時の入力の不適切な中立化 (「反射型クロスサイトスクリプティング」)

中

7.4.2、8.0

2

絶対パストラバーサル

中

7.4.2、8.0

問題 1

反射型クロスサイトスクリプティング (XSS) の脆弱性により、悪意のある VIOM ユーザーが他のユーザーのブラウザに悪質なスクリプトを挿入することができます。(CWE-79)

概要
反射型クロスサイトスクリプティング (XSS) の脆弱性が Veritas Operations Manager アプリケーションに影響することで、認証済みのリモート攻撃者は、ユーザー入力に対応する HTTP/GET パラメータに任意の Web スクリプトや HTML を無害化することなく挿入できてしまいます。
Veritas Operations Manager Web アプリケーションは、サーバー応答に含まれている GET メソッドを介して送られたパラメータを適切にチェックしません。

前提条件
管理者権限/root 権限を持つユーザーとして Web アプリケーションへのアクセス権を持っている必要があります。

影響を受けるエンドポイント

セキュリティへの影響
この脆弱性を悪用することで、Veritas Operations Manager Web アプリケーションのユーザーに対してフィッシング攻撃を実行することが可能です。

影響を受けるバージョン
Veritas InfoScale Operations Manager (VIOM) Management Server および管理対象ホスト/エージェント 8.0、7.4.2、7.4、7.3.1、7.3、7.2、7.1、7.0。それ以前のすでにサポート対象外のバージョンも影響を受ける可能性があります。

問題 2

絶対パストラバーサルの脆弱性により、任意のユーザーがサーバー上のリソースに権限なくアクセスすることができます (CWE-36)。

概要
Web サーバーが入力データの無害化に失敗することで、認証済みのリモート攻撃者は、システム上の任意のファイルを読み取ることができてしまいます。絶対パスの付いたファイルを参照する GET 要求内でリソース名を操作することにより、アプリケーションのソースコードや構成ファイル、重要なシステムファイルなど、ファイルシステム上に保存されている任意のファイルにアクセスすることが可能です。

前提条件
管理者権限/root 権限を持つユーザーとして Web アプリケーションへのアクセス権を持っている必要があります。

影響を受けるエンドポイント

セキュリティへの影響
Web サーバー上でこの脆弱性を悪用することで、root ユーザーの権限で Web アプリケーションを実行して、ファイルシステム上の任意のファイルを読み取ることが可能です。

影響を受けるバージョン
Veritas InfoScale Operations Manager (VIOM) Management Server および管理対象ホスト/エージェント 8.0、7.4.2、7.4、7.3.1、7.3、7.2、7.1、7.0。それ以前のすでにサポート対象外のバージョンも影響を受ける可能性があります。

修復策

現在メンテナンス契約をお持ちのお客様は、次のいずれかのバージョンに更新し、この脆弱性を緩和するアプリケーションバイナリをインストールしてください。

利用可能な更新については、ベリタスダウンロードセンター (https://www.veritas.com/support/ja_JP/downloads) を参照してください。

お問い合わせ

この脆弱性に関してご質問や問題がありましたら、ベリタステクニカルサポート (https://www.veritas.com/support/ja_JP) にお問い合わせください。

謝辞

これらの脆弱性を弊社にご報告いただいた Luca Carbone 氏、Antonio Papa 氏、Vincenzo Nigro 氏、および Massimiliano Brolli 氏と TIM 社の Security Red Team Research に感謝いたします。

免責

本セキュリティアドバイザリは、現状のままで提供されるものであり、その商品性、特定目的への適合性、または不侵害の暗黙的な保証を含む、明示的あるいは暗黙的な条件、表明、および保証はすべて免責されるものとします。ただし、これらの免責が法的に無効であるとされる場合を除きます。Veritas Technologies LLC は、本アドバイザリの提供、内容の実施、また本アドバイザリの利用によって偶発的あるいは必然的に生じる損害については責任を負わないものとします。本アドバイザリに記載の情報は、予告なく変更される場合があります。

Veritas Technologies LLC
2625 Augustine Drive
Santa Clara, CA 95054